【手続補正書】
【提出日】平成17年11月25日(2005.11.25)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【書類名】明細書
【発明の名称】ＶＬＡＮ（ＶｉｒｔｕａｌＬＡＮ）をサポートしたストレージデバイス
【特許請求の範囲】
【請求項１】
少なくとも１つのボリュームを有するストレージ装置と、１つのローカルエリアネットワークを複数の仮想ローカルエリアネットワークに分割する仮想ローカルエリアネットワークスイッチとを有するストレージシステムであって、
前記ストレージ装置は、
前記仮想ローカルエリアネットワークスイッチに接続するための接続部と、
各前記仮想ローカルエリアネットワークをそれぞれ識別する識別部と、
前記識別部により識別された複数の前記仮想ローカルエリアネットワークの少なくとも１つと、少なくとも１つの前記ボリュームとが対応づけられた構成情報を保持する保持部と、
前記保持部に保持された前記構成情報に基づいて、前記仮想ローカルエリアネットワークと、前記ボリュームとの間で情報を送受信するように前記仮想ローカルエリアネットワークスイッチを制御する制御部と
を備えることを特徴とするストレージシステム。
【請求項２】
前記ストレージ装置は、
前記ストレージ装置を管理する外部管理ネットワークに接続するための第２の接続部
を備えることを特徴とする請求項１に記載のストレージシステム。
【請求項３】
前記情報は、
前記仮想ローカルエリアネットワークの識別子を表すタグが格納されたタグ付きフレームでなり、
前記ストレージ装置の前記接続部は、
前記タグ付きフレームを送受信するための仮想ローカルエリアネットワークトランクを経由して、前記仮想ローカルエリアネットワークスイッチに接続する
ことを特徴とする請求項１に記載のストレージシステム。
【請求項４】
前記識別部は、
前記仮想ローカルエリアネットワークトランクを経由して受信する前記タグ付きフレームを、前記タグに基づいて識別する
ことを特徴する請求項１に記載のストレージシステム。
【請求項５】
前記仮想ローカルエリアネットワークスイッチは、
前記タグが格納されていないタグなしフレームを送受信するための仮想ローカルエリアネットワークアクセスリンクを経由して、少なくとも１つのサーバに接続する
ことを特徴とする請求項１に記載のストレージシステム。
【請求項６】
前記仮想ローカルエリアネットワークスイッチは、
前記仮想ローカルエリアネットワークアクセスリンクを経由して受信する前記タグなしフレームを、当該仮想ローカルエリアネットワークスイッチの受信ポートに基づいて識別する
ことを特徴とする請求項５に記載のストレージシステム。
【請求項７】
前記仮想ローカルエリアネットワークスイッチは、
前記仮想ローカルエリアネットワークアクセスリンクを経由して受信する前記タグなしフレームを、メディアアクセスコントロールアドレスに基づいて識別する
ことを特徴とする請求項５に記載のストレージシステム。
【請求項８】
前記仮想ローカルエリアネットワークスイッチは、
前記仮想ローカルエリアネットワークアクセスリンクを経由して受信する前記タグなしフレームに、前記受信ポートに基づいて識別された識別結果に基づく前記タグを付加した前記タグつきフレームを、前記ストレージ装置の接続部に送信する
ことを特徴とする請求項６に記載のストレージシステム。
【請求項９】
前記タグなしフレームは、
プレアンブルフィールドと、送信元メディアアクセスコントロールフィールドと、送信先メディアアクセスコントロールフィールドと、タイプフィールドと、データフィールドと、サイクリックリダンダンシーチェックフィールドとを有する
ことを特徴とする請求項５に記載のストレージシステム。
【請求項１０】
少なくとも１つのボリュームを有するストレージ装置の制御方法であって、
１つのローカルエリアネットワークを複数の仮想ローカルエリアネットワークに分割する仮想ローカルエリアネットワークスイッチに第１の接続部において接続する第１のステップと、
各前記仮想ローカルエリアネットワークをそれぞれ識別する第２のステップと、
前記第２のステップにおいて識別した複数の前記仮想ローカルエリアネットワークの少なくとも１つと、少なくとも１つの前記ボリュームとが対応づけられた構成情報を保持部に保持する第３のステップと、
前記第３のステップにおいて前記保持部に保持した前記構成情報に基づいて、前記仮想ローカルエリアネットワークと、前記ボリュームとの間で情報を送受信するように前記仮想ローカルエリアネットワークスイッチを制御する第４のステップと
を備えることを特徴とするストレージ装置の制御方法。
【請求項１１】
指定された前記構成情報に、前記仮想ローカルエリアネットワーク又は前記ボリュームを新たに設定する第４のステップ
を備え、
前記第４のステップでは、
前記仮想ローカルエリアネットワーク又は前記ボリュームを前記構成情報に追加する
ことを特徴とする請求項１０に記載のストレージ装置の制御方法。
【請求項１２】
指定された前記構成情報の前記仮想ローカルエリアネットワーク又は前記ボリュームを削除する第５のステップ
を備え、
前記第５のステップでは、
前記仮想ローカルエリアネットワーク又は前記ボリュームを前記構成情報から切り離す
ことを特徴とする請求項１０に記載のストレージ装置の制御方法。
【請求項１３】
前記第１のステップでは、
前記ストレージ装置を管理する外部管理ネットワークに第２の接続部において接続する
ことを特徴とする請求項１０に記載のストレージ装置の制御方法。
【請求項１４】
前記第１の接続部のインターネットプロトコルアドレスを更新、前記第２の接続部のインターネットプロトコルアドレスを更新、前記仮想ローカルエリアネットワークスイッチのインターネットプロトコルアドレスを更新、前記仮想ローカルエリアネットワークを追加、又は前記仮想ローカルエリアネットワークを削除する第６のステップ
を備えることを特徴とする請求項１０に記載のストレージ装置の制御方法。
【請求項１５】
少なくとも１つのボリュームを有するストレージ装置の制御方法に対して、
１つのローカルエリアネットワークを複数の仮想ローカルエリアネットワークに分割する仮想ローカルエリアネットワークスイッチに第１の接続部において接続する第１のステップと、
各前記仮想ローカルエリアネットワークをそれぞれ識別する第２のステップと、
前記第２のステップにおいて識別した複数の前記仮想ローカルエリアネットワークの少なくとも１つと、少なくとも１つの前記ボリュームとが対応づけられた構成情報を保持部に保持する第３のステップと、
前記第３のステップにおいて前記保持部に保持した前記構成情報に基づいて、前記仮想ローカルエリアネットワークと、前記ボリュームとの間で情報を送受信するように前記仮想ローカルエリアネットワークスイッチを制御する第４のステップと
を実行させることを特徴とするプログラム。
【発明の詳細な説明】
【発明の属する技術分野】
【０００１】
本発明は、一般的には、ネットワーク接続されたストレージデバイスのセキュリテイを確保する技術に関連し、特に、ＩＰ(Internet Protocol)ネットワークに接続されたストレージデバイスのセキュリテイを強化する技術に関連する。
【従来の技術】
【０００２】
今日の慣用的技術では、ＲＡＩＤ(Redundant Array of Independent Disks)のようなストレージデバイスは、ファイバチャネルネットワークを経由して、サーバに接続されることが多い。ＩＰ(Internet Protocol)ベースの技術がネットワーク分野で実質的な標準技術になるに従って、ストレージデバイスは次第にＩＰ処理可能になってきた。
【発明が解決しようとする課題】
【０００３】
このＩＰ技術には、ある種の長所は認められるものの、更に改善の余地が存在する。たとえば、ＩＰベースのストレージ技術が普及するに従って、ストレージアクセス時のセキュリテイリスクが増大してくる。ＩＰベースのストレージアクセスプロトコルにも、独自のセキュリテイ手段が備わっているが、ストレージデバイス自身に組み込まれた、さらに厳しいセキュリテイ管理機能が望まれる。
【０００４】
したがって、現状の慣用的技術で提供されるセキュリティよりも卓越したセキュリテイ手段そのものが望まれている。つまり望まれているのは、ネットワーク接続されたストレージデバイスのセキュリテイをより高める技術である。
【課題を解決するための手段】
【０００５】
本発明は、ＶＬＡＮ(Virtual Local Area Network)技術を用いてストレージデバイスにセキュアなＩＰプロトコルを提供する。本発明の実施により、ＶＬＡＮを認識するストレージデバイス等をよりセキュアにする技術が提供される。本発明の実施により、顧客のコンピュータやストレージを安全でセキュアに管理する責任を負うインターネットデータセンタに、ＶＬＡＮ技術を使用して、異なる顧客からのＬＡＮアクセスを厳密に分離できる手段が提供される。
【０００６】
本発明では、少なくとも１つのボリュームを有するストレージ装置と、１つのローカルエリアネットワークを複数の仮想ローカルエリアネットワークに分割する仮想ローカルエリアネットワークスイッチとを有するストレージシステムであって、前記ストレージ装置は、前記仮想ローカルエリアネットワークスイッチに接続するための接続部と、各前記仮想ローカルエリアネットワークをそれぞれ識別する識別部と、前記識別部により識別された複数の前記仮想ローカルエリアネットワークの少なくとも１つと、少なくとも１つの前記ボリュームとが対応づけられた構成情報を保持する保持部と、前記保持部に保持された前記構成情報に基づいて、前記仮想ローカルエリアネットワークと、前記ボリュームとの間で情報を送受信するように前記仮想ローカルエリアネットワークスイッチを制御する制御部とを備える。
【０００７】
また、本発明では、少なくとも１つのボリュームを有するストレージ装置の制御方法であって、１つのローカルエリアネットワークを複数の仮想ローカルエリアネットワークに分割する仮想ローカルエリアネットワークスイッチに第１の接続部において接続する第１のステップと、各前記仮想ローカルエリアネットワークをそれぞれ識別する第２のステップと、前記第２のステップにおいて識別した複数の前記仮想ローカルエリアネットワークの少なくとも１つと、少なくとも１つの前記ボリュームとが対応づけられた構成情報を保持部に保持する第３のステップと、前記第３のステップにおいて前記保持部に保持した前記構成情報に基づいて、前記仮想ローカルエリアネットワークと、前記ボリュームとの間で情報を送受信するように前記仮想ローカルエリアネットワークスイッチを制御する第４のステップとを備える。
【０００８】
さらに、本発明では、少なくとも１つのボリュームを有するストレージ装置の制御方法に対して、プログラムによって、１つのローカルエリアネットワークを複数の仮想ローカルエリアネットワークに分割する仮想ローカルエリアネットワークスイッチに第１の接続部において接続する第１のステップと、各前記仮想ローカルエリアネットワークをそれぞれ識別する第２のステップと、前記第２のステップにおいて識別した複数の前記仮想ローカルエリアネットワークの少なくとも１つと、少なくとも１つの前記ボリュームとが対応づけられた構成情報を保持部に保持する第３のステップと、前記第３のステップにおいて前記保持部に保持した前記構成情報に基づいて、前記仮想ローカルエリアネットワークと、前記ボリュームとの間で情報を送受信するように前記仮想ローカルエリアネットワークスイッチを制御する第４のステップとを実行させる。
【０００９】
本発明により、従来技術に勝る数々の効果が実現される。本発明の実施により、ＶＬＡＮ認識ネットワークインターフェース及びそれの管理機能がストレージデバイスに組み込まれる。本発明の実施により、ＶＬＡＮを認識するＩＰネットワーク接続のストレージデバイスに、より向上したセキュリテイをもたらす事が出来る。
【００１０】
本発明の実施により、ストレージデバイスのユーザは、単にＩＰベースのストレージアクセスプロトコル(ｉＳＣＳＩ及びｉＳＮＳ)が使えるのみならず、ＶＬＡＮベースのアクセスセキュリテイを併用できる。本明細書を通して、他の効果も含めて記述される。本発明の更なる本質と効果は、本明細書のこれからの部分と図面により理解することが出来る。
【発明の実施の形態】
【００１１】
本発明は、ＶＬＡＮ(Virtual Local Area Network)技術を用いて、よりセキュアなＩＰプロトコル処理可能なストレージデバイス、システム、及び方法を提供する。
【００１２】
本発明の実施例により、ＶＬＡＮ認識ストレージデバイス等のセキュリテイを向上させる技術が提供される。ファイバチャネルネットワークと共に使用されるＶＬＡＮ未サポートの慣用的な技術によるストレージデバイスとは異なり、本発明は、ＩＰネットワークとＩＰベースのストレージアクセスプロトコルを用いるストレージデバイスで使用することが出来る。ＩＰベースのストレージアクセスプロトコルは、今や、ＩＥＴＦ(Internet Engineering Task Force：ＩＰネットワーク技術の標準化団体)で議論されている。
【００１３】
たとえば、ＩＥＴＦは、ｉＳＣＳＩと呼ばれるＩＰベースのストレージアクセスプロトコルを開発中である。ＳＣＳＩ(Small Computer System Interface)は確立されたストレージアクセスプロトコルであり、ｉＳＣＳＩはＳＣＳＩプロトコルのパケットをＩＰネットワーク上で転送できるようにする一種のトンネルプロトコルである。ｉＳＣＳＩと呼ばれるプロトコルはＩＰネットワークでのブロック転送プロトコルである。（"iSCSI" http://www.ietf.org/internet-drafts/draft-ietf-ips-iscsi-07.txt)ＩＰベースのストレージネットワークでのアクセスコントロールでは、ＩＰｓｅｃ プロトコル（"Security Architecture for the Internet Protocol，"RFC2401)及びｉＳＮＳ（"iSNS Internet Storage Name Service，"http://www.ietf.org/internet-drafts/draft-ietf-ips-isns-04.txt) のような多様なアクセスセキュリテイメカニズムを使用可能である。
【００１４】
本発明の実施により、ＶＬＡＮ技術を使用してＩＰベースのストレージアクセス技術に、より向上した機能性が提供される。本明細書では、ＶＬＡＮを採用し、単一の物理ＬＡＮセグメントで複数の論理ネットワークを可能にする一般的コンセプトを記述しているが、他の多様な技術が多様な実施例において使用可能である。
【００１５】
例えば、多数の現存ネットワークは、ＩＥＥＥ８０２．ｌｑ（"IEEE Standards for Local and MetropolitanArea Network: Virtual Ｂridged Local Area Network， "IEEE， ISＢN-0738115371 or http://standards.ieee.org/reading/ieee/std/lanman/802.IQ-1998.pdf) と呼ばれる標準技術を使用している。これら及び他のタイプのネットワーク標準も、本発明の多様な実施形態に適用可能であることは、この分野にスキルを有する人には自明である。
【００１６】
概要
ＩＰベースのストレージアクセスプロトコルは自らの固有なセキュリテイ機構を有している。しかしながら、より高いセキュリテイを要求するネットワークにおいては、認証されないＬＡＮセグメントから不当なデータアクセスがされないように、追加のセキュリテイ手段を取り入れる必要がある。
【００１７】
本発明では、本問題をストレージデバイスにＶＬＡＮ機能を追加することにより解決する。本発明で記載されるストレージデバイスは、ＶＬＡＮ認識フレーム（またはパケット）を送受信し、これらのフレームを所定の管理構成に従って適切に処理することが出来る。例えば、 図６、図７に関連して、以下に説明するように、ＶＬＡＮセグメントは、当前記ＶＬＡＮセグメントに許可された仮想ボリュームにマップされることが出来る。ファイルシステムもまた、ＶＬＡＮにマップ可能である。あるＶＬＡＮに属するサーバは、当前記ＶＬＡＮユーザに許可されたファイルシステムや仮想ストレージボリュームにのみアクセス可能である。
【００１８】
本発明は、ここでは、ＮＡＳ(Network Attached Storage)類似のストレージデバイスを含む形で述べているが、本発明は、そのような実施例に限定されないということに注意が必要である。例えば、本発明は、ＲＡＩＤ内のストレージデバイスやファイルシステムソフトウエアを利用したストレージデバイスのような、ＮＡＳ機能を持たない通常のストレージデバイスにも適用可能である。
【００１９】
ＶＬＡＮ技術
ＶＬＡＮは、単一のＬＡＮセグメントに一つ以上のサブネットワーク(または、通信ドメイン)を共存させる技術である。慣用的なＬＡＮにおいては、一つのＬＡＮセグメントにはただ一つのサブネットワーク(または、通信ドメイン)のみが存在する。この構成では、当前記ＬＡＮセグメントに結合している各端末は、データフレームの送受信を当前記ＬＡＮとの間で行うことが出来る。このことは、当前記端末は、当前記ＬＡＮセグメント上のもう一つの端末との交信から離れることができないことを意味する。
【００２０】
ＶＬＡＮ技術は、一つのＬＡＮセグメントを複数のＶＬＡＮ(仮想ＬＡＮ)セグメントに分割することを可能にする。一つのＶＬＡＮセグメントに属する端末は、異なるＶＬＡＮセグメントに属する別の端末とは交信しない。ＶＬＡＮタイプＶＬＡＮセグメントに対する端末のメンバシップを決める基準に対応してクラス分けされる、複数のＶＬＡＮタイプが存在する。下記は二つの典型的なＶＬＡＮタイプである。
【００２１】
１ ポートベースＶＬＡＮ
ＶＬＡＮスイッチは、スイッチポートに接続される端末に対してＶＬＡＮＩＤを付与する。本方式をポートベースＶＬＡＮと呼ぶ。
【００２２】
２ アドレスベースＶＬＡＮ
ＶＬＡＮスイッチは、指定のＭＡＣ(Media Access Control)アドレスを持つ端末に対してＶＬＡＮ ＩＤを付与する。本方式をアドレスベースＶＬＡＮと呼ぶ。
【００２３】
フレームフォーマット
典型的なＶＬＡＮネットワークには二つのタイプのフレームフォーマットが存在する。 図１は本発明の実施例での二つのフレームフォーマットを説明している。 図１には、二つのフレームフォーマット、即ちタグなしフレームとタグ付きフレームが描かれている。
【００２４】
１ タグなしフレーム
タグなしフレームは、ＶＬＡＮトランク以外のリンクで使用される。多くの既存の端末、例えば、サーバ、ＰＣ、ネットワークハブ等は、ＶＬＡＮを認識できず、タグ付フレームを認識できない。タグなしフレームでのＶＬＡＮメンバシップは、受信スイッチポートのＶＬＡＮ ＩＤ(ポートベースＶＬＡＮ)かまたはフレーム内のＭＡＣアドレス(アドレスベースＶＬＡＮ)により決定される。
【００２５】
タグなしフレーム１００は以下のフィールドを持っている。"プレアンブル"フィールドは受信端末でのフレーム検出を可能にする。"送信元ＭＡＣ"フィールドは当前記フレームを送信した端末のＭＡＣアドレスを含む。"送信先ＭＡＣ"フィールドは当前記フレームを受信した端末のＭＡＣアドレスを含む。"タイプ"フイールドは本フレームのタイプを示す。"データ"フィールドはＩＰプロトコルの如き上位層のプロトコルデータが含まれる。"ＣＲＣ"フィールドはエラー検出に利用される。
【００２６】
２ タグ付きフレーム
タグ付きフレームはＶＬＡＮトランクリンクで使用される。ＶＬＡＮトランクに接続される端末は、ＶＬＡＮ認識可能で、フレームに埋め込まれたＶＬＡＮＩＤ情報を抽出できる。タグなしフレームに存在するフィールドに加えて、タグ付きフレーム１１０は、"タグヘッダ"と称されるＶＬＡＮ ＩＤ情報を保有するフィールド１２０を有する。本発明の実施例で説明するストレージデバイスは、ＶＬＡＮ認識可能で、タグ付きフレームを送受信できる。
【００２７】
システム構成
図２は本発明の実施例でのＶＬＡＮサポートストレージデバイスのシステム構成を示している。ストレージデバイス２００は、ＶＬＡＮスイッチ２２０のスイッチポートにつながるＶＬＡＮトランク２１０に接続されるネットワークインターフェースを持つ。
【００２８】
ストレージデバイスは、管理ネットワーク２７０につながるもう一つのネットワークインターフェースを持つ。ストレージデバイス２００の中には、幾つかのファイルシステムとストレージボリュームが存在する。
【００２９】
ＶＬＡＮスイッチ２２０は幾つかのスイッチポートを持つ。ポート番号８はＶＬＡＮトランクで、タグ付きフレームが本ポートを通して送受信される。他のスイッチポート１〜７はアクセスリンク２４０で、タグなしフレームはこれらのポートを通して転送される。サーバＳ−１（２６１）、Ｓ−２（２６２）及びＳ−３（２６３）は、ＶＬＡＮ＃１（２５１）に属する。サーバＳ−４（２６４）及びＳ−５（２６５）は、ＶＬＡＮ＃２（２５２）に属する。サーバＳ−６（２６６）及びＳ−７（２６７）は、ＶＬＡＮ＃３（２５３）に属する。 図３は、本発明の実施例でのＶＬＡＮスイッチのＶＬＡＮ構成テーブルである。
【００３０】
図３で説明されるＶＬＡＮ構成テーブルは、例えば、ＶＬＡＮスイッチ２２０の構成テーブル３００である。この実施例では、ポートベースＶＬＡＮが使用されている。テーブル３００はＶＬＡＮスイッチ２２０のＶＬＡＮ構成情報の保存に使用される。テーブル３００は複数のフィールドで構成される。"ポート番号"はＶＬＡＮスイッチのポート番号を示す。"ＶＬＡＮトランク"は当前記スイッチポートがＶＬＡＮトランクリンクか否かを示す。"ＶＬＡＮ ＩＤ(タグ)"は当前記スイッチポートで受信したパケットに対応したＶＬＡＮ ＩＤである。"他のスイッチポート属性"は、スイッチポートの各種構成パラメータを示す。
【００３１】
ハードウエア構成
図４は、本発明の実施例での情報記憶のための典型的なストレージデバイスを示している。ストレージデバイス２００は下記のハードウエア要素より構成される。ＣＰＵ４１０は主メモリ４２０に保存されている種々のプログラムを実行する。
【００３２】
本メモリには、本発明に従ったプロセスや機能を実現するためのデータやプログラムが保持される。補助メモリ４３０では、プログラムやデータをハードディスクやフラッシュメモリのような永続的メモリデバイスに保存する。
【００３３】
ＣＰＵ４１０は、補助メモリ４３０に保存されているこれらのプログラムやデータを主メモリ４２０にロードする。ネットワークインターフェース４４０は、ＶＬＡＮスイッチ２２０に結合されるネットワークリンクに接続される。外部管理インターフェース４５０は管理ネットワーク２７０に接続される。
【００３４】
ＣＰＵ４１０、主メモリ４２０、補助メモリ４３０、ネットワークインターフェース４４０及び外部管理インターフェース４５０は、コントローラバス４８０を通して接続される。
【００３５】
ストレージデバイス２００は一つ以上のストレージボリューム４７０より構成される。これらのストレージボリュームは、ストレージバス４９０を通してストレージコントローラ４６０に接続される。ストレージコントローラ４６０はまた、コントローラバス４８０に接続されている。コントローラバス４８０に接続されている要素とストレージバス４９０に接続されている要素は、ストレージコントローラ４６０を通して互いに交信する。
【００３６】
ソフトウエア構成
ソフトウエアモジュール
図５は本発明の実施例でのストレージデバイスを制御するソフトウエアモジュールを示している。 図５に説明するソフトウエアモジュールは、例えばストレージデバイス２００内の主メモリ４２０内に展開され稼動する。
【００３７】
ネットワークインターフェースデバイスドライバ５８０は、ネットワークインターフェース４４０との間でタグ付きフレームを送受信する。デバイスドライバ５８０はまた、外部管理インターフェース４５０との間でタグなしフレームを送受信する。オペレータにより設定されるだけの多数のＶＬＡＮ仮想インターフェース５７０が存在する。各ＶＬＡＮインターフェースは、固有のＶＬＡＮ ＩＤがアサインされ、本ＶＬＡＮ ＩＤに属するフレームの処理責任を負う。
【００３８】
オペレータにより指定されるだけの多数のファイルサーバモジュール５６０が存在する。各ファイルサーバモジュールは、各々異なったファイルシステムを管理する。オペレータにより指定されるだけの多数の仮想ボリュームマネージャ５５０が存在する。
【００３９】
ストレージアクセスデバイスドライバ５１０は、仮想ボリュームマネージャ５５０とストレージコントローラ４６０との間のデータ転送の責任を負う。オペレータＧＵＩモジュール５００は、システムオペレータがストレージデバイス２００を管理するために使用するユーザインターフェースプログラムである。本ＧＵＩモジュール５００を通して、オペレータは、ストレージ管理モジュール５２０、ファイルシステム管理モジュール５３０及びネットワーク管理モジュール５４０と交信することができる。
【００４０】
ストレージ管理モジュール５２０は、仮想ボリュームマネージャ５５０の構成と管理の責任を負う。ファイルシステム管理モジュール５３０は、ファイルサーバモジュール５６０の構成と管理の責任を負う。ネットワーク管理モジュール５４０は、ＶＬＡＮ仮想インターフェース５７０の構成と管理の責任を負う。
【００４１】
データ管理
ストレージデバイス２００の構成情報は、主メモリ４２０内の複数のデータテーブルの中に格納されている。
【００４２】
１ ネットワークインターフェース構成テーブル
図６は本発明の実施例でのネットワークインターフェース構成テーブルを示している。ネットワークインターフェース構成テーブル６００は、ストレージデバイス２００に備わっている物理及び仮想の双方のネットワークインターフェースを管理するために使用される。
【００４３】
物理インターフェースは、ネットワークインターフェースのハードウエアに対応する(ネットワークインターフェース４４０及び外部管理インターフェース４５０は、共に物理ネットワークインターフェースである)。これに対して、仮想ネットワークインターフェースは、実際には、ある物理ネットワークインターフェースに縛られるＶＬＡＮセグメントに対応する。 図６に示される例では、３つの仮想インターフェース、"vlan1"、 "vlan2"及び"vlan3"は、物理ネットワークインターフェース exp0 に対応する。
【００４４】
ネットワークインターフェーステーブル６００は、複数のフィールドより構成される。"インターフェース番号"はネットワークインターフェース構成情報を管理する順序番号である。"インターフェース名"はネットワークインターフェースに人間が読めるようにアサインされた英数字で構成される名前である。
【００４５】
"物理インターフェース名"は本ネットワークインターフェースに関連する物理インターフェースの名前である。"ＶＬＡＮ ＩＤ"は仮想ネットワークインターフェースに対してのみ有効で、本ＶＬＡＮのタグまたはＶＬＡＮ ＩＤを示す。"ＩＰアドレス"は本ネットワークインターフェースにアサインされたＩＰアドレスである。"最大スループット"は当前記ネットワークインターフェースに許される最大スループットを指定するパラメータである。"管理"は本ネットワークインターフェースがシステム管理目的に使用されるか否かを示す。
【００４６】
２ ファイルシステム構成テーブル
図７は本発明の実施例でのファイルシステム構成テーブルを示している。ファイルシステム構成テーブル７００は、ストレージデバイス２００内の全てのファイルシステムの管理に使用される。本発明に基づくストレージデバイスは、ＶＬＡＮインターフェースとファイルシステムとの対応が本構成テーブルを使用して容易に定義及び更新が可能なため、一つ以上のファイルシステムを持つことができ、大変柔軟性がある。
【００４７】
ファイルシステム構成テーブル７００は、複数のフィールドより構成される。"インターフェース番号"はファイルシステム構成情報を管理する順序番号である。"ファイルサーバモジュール"はファイルサーバモジュールまたはプログラムを特定するための固有な番号である。"許可インターフェース"は本ファイルシステムへの結合が許可されたネットワークインターフェースである。"許可ボリューム"は本ファイルシステムへの結合が許可された仮想ボリュームである。
【００４８】
ユーザインターフェースシステム構成ウィンドウ
図８は本発明の実施例でのシステム構成ウインドウを示している。ストレージデバイス２００のオペレータは、ストレージデバイス２００の管理に必要な基本情報の設定のために本ウインドウを使用する。
【００４９】
オペレータは、システム構成ウインドウを使用して、本デバイスにＩＰアドレスをアサインし、ファイルシステムを追加または削除し、ＶＬＡＮと仮想ボリュームの間の対応関係を更新できる。"設定"ボタン８１０をクリックすると、 図９に示されるネットワーク構成ウインドウ９００が現れ、"設定"ボタン８２０をクリックすると、 図１０に示されるファイルシステム構成ウインドウ１０００が現れる。
【００５０】
ネットワーク構成ウィンドウ
図９は本発明の実施例でのネットワーク構成ウインドウを示している。本ウィンドウにて、オペレータは対象インターフェースにアサインされたＩＰアドレスやスループット等のネットワーク情報を設定することが出来る。ネットワークインターフェース４４０及び管理インターフェース４５０の双方を本ウィンドウを使って設定することが出来る。
【００５１】
図９に示す例では、管理インターフェース"exp1"は、ＩＰアドレス192.168.1.1、サブネットマスク24、及び管理インターフェースに許可されたスループット１０Mbpsが設定されている。もう一つのネットワークインターフェース"exp0"が存在し、ＩＰアドレス10.0.4.1、サブネットマスク24、及びスループット１００Mbpsが設定されている。インターフェース"exp0"は３つのＶＬＡＮ、"vlan1"、"vlan 2"及び"vlan3"に属する。各ＶＬＡＮは固有のＩＰアドレス、ＶＬＡＮ ＩＤ（タグ）及びスループットが指定されている。
【００５２】
ファイルシステム構成ウィンドウ
図１０は本発明の実施例でのファイルシステム構成ウインドウを示している。本ウィンドウにて、オペレータは、接続されるＶＬＡＮ及び接続されるストレージボリューム等のファイルシステム情報を指定することが出来る。 図１０の例では、ファイルシステム＃１はＶＬＡＮ"vlan 2"に接続され、ストレージボリューム"vol4"を使用することが出来る。
【００５３】
処理フロー
システム構成のフローチャート
図１１は本発明の実施例でのシステム構成ウインドウを処理するフローチャートを示す。オペレータＧＵＩモジュール５００が、オペレータからシステム構成ウィンドウを表示することの要求を受け取ると、本ＧＵＩモジュール５００はシステム構成ウィンドウ８００を表示する（ステップ１１００）。
【００５４】
モジュール５００はネットワーク設定要求か否かをテストする（ステップ１１０５）。もしネットワーク設定要求なら、本モジュールはネットワーク構成ウィンドウ９００を表示する（ステップ１１１０）。
【００５５】
次に、本モジュール５００は新ファイルシステムの追加要求か否かをテストする(ステップ１１１５)。もし新ファイルシステムの追加要求なら、本モジュールはファイルシステム構成ウィンドウ１０００を表示する（ステップ１１２０）。
【００５６】
もし追加要求でなければ、本モジュールはファイルシステム設定要求か否かをテストする（ステップ１１２５）。もしファイルシステム設定要求なら、本モジュールはファイルシステム構成ウィンドウ１０００を表示する（ステップ１１３０）。もしそうでなければ、本モジュールはファイルシステム削除要求か否かをテストする（ステップ１１３５）。もしファイルシステム削除要求なら、本モジュールは指定ファイルシステムを削除する（ステップ１１４０）。
【００５７】
以上の結果、構成変更が一つでも生じた場合は、オペレータＧＵＩモジュールは更新後の構成情報を表示する（ステップ１１４５）。上記の処理は、オペレータがシステム構成ウィンドウを閉じるまで繰り返し行われる（ステップ１１５０）。
【００５８】
ネットワーク構成のフローチャート
図１２は本発明の実施例でのネットワーク構成ウインドウを処理するフローチャートを示す。オペレータＧＵＩモジュール５００が、オペレータからネットワーク構成ウィンドウを表示することの要求を受け取ると、本モジュールはネットワーク構成ウィンドウ９００を表示する（ステップ１２００）。
【００５９】
本モジュール５００は管理インターフェースの更新要求か否かをテストする（ステップ１２０５）。もし管理インターフェースの更新要求なら、本モジュール５００は管理インターフェースのＩＰアドレスを更新する（ステップ１２１０）。もしそうでなければ、本モジュール５００はＬＡＮの更新要求か否かをテストする（ステップ１２１５）。
【００６０】
もしＬＡＮの更新要求なら、本モジュール５００は物理ネットワークインターフェースのＩＰアドレスを更新する（ステップ１２２０）。そうでなければ、本モジュールは、ＶＬＡＮの更新要求か否かをテストする（ステップ１２２５）。
【００６１】
もしＶＬＡＮの更新要求なら、本モジュールはＶＬＡＮインターフェースのＩＰアドレスとＶＬＡＮタブ情報を更新する（ステップ１２３０）。そうでなければ、本モジュールは、ＶＬＡＮの削除要求か否かをテストする（ステップ１２３５）。
【００６２】
もしＶＬＡＮの削除要求なら、本モジュールは、指定されたＶＬＡＮインターフェースを削除する（ステップ１２４０）。そうでなければ、本モジュールは、ＶＬＡＮの追加要求か否かをテストする（ステップ１２４５）。
【００６３】
もしＶＬＡＮの追加要求なら、本モジュール５００は、新しいＶＬＡＮインターフェースを追加する（ステップ１２５０）。
【００６４】
以上の操作で、ネットワークの構成変更が生じた場合は、オペレータＧＵＩモジュール５００は、ネットワーク管理モジュールを起動して、ネットワークインターフェース構成テーブルを更新し（ステップ１２５５）、更新後のネットワーク構成情報を表示する（ステップ１２６０）。上記の処理は、オペレータがシステム構成ウィンドウを閉じるまで繰り返し行われる（ステップ１２６５）。
【００６５】
ファイルシステム構成のフローチャート 図１３は本発明の実施例でのファイルシステム構成ウインドウを処理するフローチャートを示す。オペレータＧＵＩモジュール５００が、オペレータからファイルシステム構成ウィンドウを表示することの要求を受け取ると、本ＧＵＩモジュール５００はファイルシステム構成ウィンドウ１０００を表示する（ステップ１３００）。
【００６６】
本モジュール５００はＶＬＡＮ追加要求か否かをテストする（ステップ１３０５）。もしＶＬＡＮ追加要求なら、本モジュール５００はファイルシステム管理モジュールを起動し、指定のＶＬＡＮを指定のファイルシステムに追加する（ステップ１３１０）。そうでなければ、本モジュールはＶＬＡＮ切り離し要求か否かをテストする（ステップ１３１５）。
【００６７】
もしＶＬＡＮ切り離し要求なら、本モジュール５００はファイルシステム管理モジュールを起動し、指定のＶＬＡＮを指定のファイルシステムから切り離す（ステップ１３２０）。そうでなければ、本モジュール５００はボリューム追加要求か否かをテストする（ステップ１３２５）。
【００６８】
もしボリューム追加要求なら、本モジュール５００はファイルシステム管理モジュールを起動し、指定のボリュームを指定のファイルシステムに追加する（ステップ１３３０）。そうでなければ、本モジュール５００はボリューム切り離し要求か否かをテストする（ステップ１３３５）。
【００６９】
もしボリューム切り離し要求なら、本モジュール５００はファイルシステム管理モジュールを起動し、指定のボリュームを指定のファイルシステムから切り離す（ステップ１３４０）。
【００７０】
もし以上の操作で、ファイルシステムの構成変更が生じた場合は、本オペレータＧＵＩモジュール５００はファイルシステム管理モジュールを起動して、ファイルシステム構成テーブルを更新し（ステップ１３４５）、更新後のファイルシステム構成情報を表示する（ステップ１３５０）。上記の処理は、オペレータがシステム構成ウィンドウを閉じるまで繰り返し行われる（ステップ１３５５）。
【００７１】
要求処理のフローチャート
図１４は、本発明の実施例でのネットワークから受信した要求を処理するフローチャートを示す。ファイルサーバモジュール５６０がＶＬＡＮインターフェース５７０から要求を受信すると（ステップ１４００）、本要求からユーザ名を抽出する（ステップ１４０５）。
【００７２】
本ファイルサーバモジュール５６０は当前記要求が本ファイルシステムの認証済ユーザから来たものか否かをテストする（ステップ１４１０）。認証済ユーザでない場合は、ファイルサーバモジュール５６０はユーザにパスワードを要求し（ステップ１４１５）、受信したパスワードを本ファイルシステムのアカウントデータベースと照合する（ステップ１４２０）。
【００７３】
ファイルサーバモジュール５６０はデータベース中で正当なユーザ情報が見つかったか否かをテストする（ステップ１４２５）。もし正当なユーザ情報が見つかれば、ファイルサーバモジュール５６０は当前記要求を適切に処理する（ステップ１４３０）。見つからなければ、ファイルサーバモジュールは当前記要求を拒否する（ステップ１４３５）。
【００７４】
本発明の実施例では、ストレージデバイスは一つ以上のファイルサーバモジュール５６０を持つことが出来る。各ファイルサーバモジュール５６０は指定のＶＬＡＮから受信された要求のみを処理する。
【００７５】
したがって、本発明を実施したストレージデバイスは、ＶＬＡＮをサポートしない慣用的なストレージデバイスに比べて、より堅固なセキュリテイを持つことが出来る。
【００７６】
図１５は本発明の実施例でのストレージデバイスのプロトコルスタックを示す。スタックの最下層は物理層１５４０で、往来するデータフレームの物理的入出力に責任を負う。データリンク層１５３０はデータフレームの処理に責任を負う。
【００７７】
本発明の実施例では、ＶＬＡＮメンバシップ識別のようなＶＬＡＮ関連の処理は本層で実施される。ネットワーク層１５２０はＩＰのようなネットワークプロトコル処理の責任を負う。ファイル又はブロックプロトコル層１５１０はストレージに固有な要求の処理を行う。
【００７８】
ストレージに固有な要求は、例えば、ＮＡＳタイプのデバイスの場合はファイルレベルのものであり、ｉＳＣＳＩタイプのデバイスの場合はブロックレベルのものである。最上位層はアプリケーション層（ファイルシステム）１５００である。本層はファイル入出力のようなアプリケーション論理の処理に責任を負う。
【００７９】
図１６は本発明の実施例での入力データフレームを処理するフローチャートを示す。サーバのなかの一台から送られた入力データフレームは、ネットワークインターフェース４４０によって受信される（ステップ１６００）。
【００８０】
ネットワークインターフェース４４０はＶＬＡＮトランクリンク２１０に接続しているため、本入力データフレームは、ＶＬＡＮタグヘッダ１２０を持つタグ付きフレーム１１０である。したがって、ネットワークインターフェースデバイスドライバ５８０は受領データフレームからＶＬＡＮタグを抽出する（ステップ１６１０）。
【００８１】
次に、ネットワークインターフェースデバイスドライバ５８０は、ネットワークインターフェース構成テーブル６００を検索して、抽出されたタグ情報に対応するエントリまたはＶＬＡＮの検出を試みる（ステップ１６２０）。
【００８２】
デバイスドライバ５８０は、検索の結果、ネットワークインターフェース構成テーブル６００で設定済みのＶＬＡＮエントリの中に見つかったか否かを判定する（ステップ１６３０）。もし入力データフレームに対応するＶＬＡＮエントリが見つかった場合は、当前記データフレームは対応するＶＬＡＮ仮想インターフェース５７０に転送される（ステップ１６４０）。
【００８３】
もし入力データフレームに対応するＶＬＡＮエントリが見つからなかった場合は、当前記データフレームは破棄される（ステップ１６５０）。これまで述べてきたことは、本発明の好ましい実施態様である。請求の範囲で定義した本発明の範囲を逸脱する事なく、変更と修正が可能である事は言うまでもない。
【発明の効果】
【００８４】
ＩＰベースのストレージシステムでは、ＶＬＡＮのようなセグメント分割技術を用いて、アクセスセキュリテイが確保される。入力パケットをＶＬＡＮ対応ベースで識別することにより、ストレージデバイスはより優れたセキュリテイ機能をユーザに提供できる。ＶＬＡＮをサポートしたストレージデバイスは、ファイルシステム及びストレージボリュームへのアクセスを要求ユーザのＶＬＡＮメンバシップによって制限することが出来る。
【００８５】
もしユ−ザがＶＬＡＮ Ａに属するなら、本ユーザはＶＬＡＮ Ａにアサインされたファイルシステム及びストレージボリュームを排他的に使うことが出来る。ＶＬＡＮメンバシップによる分割に加えて、ＩＰベースのストレージアクセスプロトコルで定義された通常のセキュリテイ手段も各ＶＬＡＮセグメントの中で有効に働くことになる。この意味で、ＶＬＡＮサポートは、ストレージデバイスに追加のセキュリテイをもたらすものと言える。
【図面の簡単な説明】
【００８６】
【図１】図１は本発明の実施例での二つのフレームフォーマットを説明する図である。
【図２】図２は本発明の実施例でのＶＬＡＮサポートストレージデバイスのシステム構成を説明する図である。
【図３】図３は本発明の実施例でのＶＬＡＮスイッチのＶＬＡＮ構成テーブルを説明する図である。
【図４】図４は本発明の実施例での情報記憶のための典型的ストレージデバイスを説明する図である。
【図５】図５は本発明の実施例でのストレージデバイスを制御する典型的ソフトウエアモジュールを説明する図である。
【図６】図６は本発明の実施例でのネットワークインターフェース構成テーブルを説明する図である。
【図７】図７は本発明の実施例でのファイルシステム構成テーブルを説明する図である。
【図８】図８は本発明の実施例でのシステム構成ウインドウを説明する図である。
【図９】図９は本発明の実施例でのネットワーク構成ウインドウを説明する図である。
【図１０】図１０は本発明の実施例でのファイルシステム構成ウインドウを説明する図である。
【図１１】図１１は本発明の実施例でのシステム構成ウインドウを処理するフローチャートを示す図である。
【図１２】図１２は本発明の実施例でのネットワーク構成ウインドウを処理するフローチャートを示す図である。
【図１３】図１３は本発明の実施例でのファイルシステム構成ウインドウを処理するフローチャートを示す図である。
【図１４】図１４は本発明の実施例でのネットワークから受信した要求を処理するフローチャートを示す図である。
【図１５】図１５は本発明の実施例でのストレージデバイスのプロトコルスタックを示す図である。
【図１６】図１６は本発明の実施例での入力データフレームを処理するフローチャートを示す図である。
【符号の説明】
【００８７】
１００・・・タグなしフレーム、１１０・・・タグ付きフレーム、１２０・・・タグヘッダ、２００・・・ストレージデバイス、２１０・・・ＶＬＡＮトランク（タグ付フレーム）、２２０・・・ＶＬＡＮスイッチ、２４０・・・ＶＬＡＮアクセスリンク（タグなしフレーム）、２６１〜２６７・・・サーバ、４１０・・・ＣＰＵ、４２０・・・主メモリ、４３０・・・補助メモリ、４４０・・・ネットワークインターフェース、４５０・・・外部管理インターフェース、４６０・・・ストレージコントローラ、４８０・・・コントロールバス、４９０・・・ストレージバス、５００・・・オペレータＧＵＩモジュール、５１０・・・ストレージアクセスデバイスドライバ、５２０・・・ストレージ管理モジュール、５３０・・・ファイルシステム管理モジュール